🇰🇷 한글 설명
vLLM은 대규모 언어 모델을 위한 추론 및 서빙 엔진입니다. 0.32.0 이전 버전의 OpenAI 호환 서버는 Starlette CORSMiddleware의 allowed_origins를 기본적으로 와일드카드로 설정합니다. 이로 인해 악성 웹페이지가 피해자의 브라우저를 통해 localhost, 내부망, VPN에 있는 인증되지 않은 vLLM 서버에 접근하여 모델 목록 조회나 채팅 완성 요청을 보내고 GPU 자원을 소모하며 응답을 읽을 수 있습니다.
💡 쉬운 설명
내부망이나 PC에서 실행 중인 AI 서버를 외부 웹사이트가 피해자 브라우저를 통해 몰래 호출할 수 있는 문제입니다. 공격자는 AI 연산 자원을 훔쳐 쓰거나 응답 내용을 열람할 수 있습니다.
🇺🇸 원문 (English)
vLLM is an inference and serving engine for large language models. Prior to 0.32.0, the OpenAI-compatible server configures Starlette CORSMiddleware with allowed_origins set to a wildcard by default. A malicious web page can use a victim's browser to reach an unauthenticated vLLM server on localhost, an internal network, or a VPN, call endpoints including GET /v1/models and POST /v1/chat/completions, consume GPU resources, and read responses. Cookie-based cross-site request forgery does not apply because credentials are disabled by default, and deployments requiring bearer authentication are exposed only when the caller already has a usable token. This issue is fixed in version 0.32.0.
📍 영향받는 시스템
vLLM 0.32.0 미만 버전 (OpenAI 호환 서버 사용 환경)
⚔️ 공격 벡터
악성 웹페이지를 방문한 사용자의 브라우저를 이용해 CORS 와일드카드 설정을 통해 로컬/내부망의 vLLM 서버에 교차 출처 요청을 전송
🛡️ 대응 방법
vLLM을 0.32.0 이상으로 업그레이드하고 허용 출처를 명시적으로 제한하며 인증을 적용
🔧 검증 코드
출력된 Version 값이 0.32.0 미만이면 취약한 버전이므로 업그레이드가 필요하고, 0.32.0 이상이면 해당 취약점은 수정된 상태입니다.
pip show vllm 2>/dev/null | grep -i version